Server Load Balancer：API Key入站身份認證實踐

1.建立擴充版ALB執行個體

1. 登入ALB控制台，選擇華北6（烏蘭察布）地區，單擊建立應用型負載平衡。

2. 在購買頁完成以下配置，單擊立即購買。

   • 地區：選擇華北6（烏蘭察布）。

   • 執行個體網路類型：選擇公網。

   • VPC和可用區：選擇目標VPC，勾選烏蘭察布 可用性區域A和烏蘭察布 可用性區域B後選擇對應交換器，並自動分配公網IP。

   • 協議版本：選擇IPv4。

   • 功能版本（執行個體費）：選擇擴充版。

3. 在確認訂單頁面確認執行個體配置詳情，單擊立即開通。

2.建立AI類型伺服器組

建立AI類型伺服器組，對接阿里雲百鍊。

1. 在伺服器組控制台，單擊建立伺服器組，伺服器群組類型選擇AI服務，輸入名稱如sgp-ai-qwen，單擊建立。

2. 在伺服器組建立成功對話方塊單擊添加後端伺服器。

3. 在添加AI服務對話方塊完成以下配置，單擊確定。

   • 大模型供應商：選擇阿里雲百鍊。

   • 服務地址：選擇大模型供應商後自動填滿。

   • 身份憑證：選擇為阿里雲百鍊API Key建立的身份憑證。

3.建立監聽

1. 在ALB控制台，單擊目標執行個體ID進入執行個體詳情頁。在監聽頁簽單擊建立監聽。

2. 在配置監聽步驟，選擇監聽協議為HTTPS，監聽通信埠填寫443，完成後單擊下一步。

3. 在設定SSL憑證步驟，選擇與自訂網域名匹配的伺服器憑證，單擊下一步。

4. 在選擇伺服器組步驟，依次選擇AI服務類型和伺服器組sgp-ai-qwen，完成後單擊下一步。

   此處選擇的伺服器組將用於監聽的預設規則，即在請求未命中其他轉寄規則時處理請求，使用者可根據實際需求進行調整。

5. 在組態稽核步驟，確認配置並單擊提交。

4.建立服務擴充

建立服務擴充並添加API Key認證組件，從HTTP標題提取API Key並應用入站身份認證。

1. 在服務擴充控制台，單擊建立服務擴充。在服務擴充配置地區，輸入服務副檔名稱如ext-apikey-auth。

2. 擴充類型預設選擇外掛程式，組件名稱下拉選擇API Key認證。配置認證策略，完成後單擊建立。

   • 憑證來源：預設選擇Authorization:Bearer<token> 。

     此處的<token>表示用戶端請求時在Authorization: Bearer後填入API Key的位置，ALB會從此處提取並驗證API Key。

   • 產生方式：預設選擇系統產生。

   • 逾時時間（毫秒）和處理策略：本文保持預設值1000和終止，使用者可按需調整。

   憑證來源支援多種方式：預設的Authorization:Bearer<token> 、自訂HTTP標題、自訂查詢字串或自訂Cookie參數。使用者可根據實際需求選擇。

   系統產生方式會自動產生API Key憑證，建立完成後可在服務擴充詳情頁查看和複製憑證。使用者也可選擇自訂方式，手動輸入API Key。

5.配置轉寄規則

在監聽上建立轉寄規則，添加HTTP標題條件並關聯服務擴充。

1. 在ALB控制台，單擊目標執行個體ID進入執行個體詳情頁。切換到監聽頁簽後，單擊目標監聽ID進入監聽詳情頁，再切換到轉寄規則頁簽。

2. 單擊插入新規則，完成以下配置後單擊確定。

   • 轉寄條件：選擇HTTP標題，鍵是k，值是v。

     k: v僅作樣本，用於生產時使用者可按需配置HTTP標題索引值對，或使用其他類型的轉寄條件。

   • 服務擴充（可選）：預設使用已有服務擴充，下拉選擇ext-apikey-auth。

   • 轉寄動作：選擇轉寄至AI服務伺服器組sgp-ai-qwen。

轉寄規則建立後，包含HTTP標題k: v的請求會命中該規則，服務擴充從HTTP要求標頭Authorization中提取<token>作為API Key憑證進行比對認證，認證通過後轉寄至伺服器組sgp-ai-qwen。

6.設定網域名稱解析

將自有網域名稱通過CNAME解析指向ALB執行個體的DNS名稱，用戶端通過自有網域名稱訪問ALB。

本文以阿里雲Alibaba Cloud DNS為例，對於非阿里雲註冊網域名稱，需先將網域名稱添加到雲解析控制台。

1. 在ALB控制台，複製目標執行個體的DNS 名稱。

2. 登入網域名稱解析控制台，在目標網域名稱的操作列單擊解析设置。在解析设置頁面單擊添加记录。

3. 參考以下資訊添加CNAME記錄，完成後單擊确定。

   • 记录类型：選擇CNAME。

   • 主机记录：輸入欄位名首碼如ai。假設使用者自有根網域名稱為example.com，則訪問ALB的網域名稱為ai.example.com。

   • 解析请求来源和TTL时间：保持預設。

   • 记录值：輸入ALB執行個體的DNS名稱。

4. 在彈出的解析变更确认對話方塊確認解析資訊，單擊確定。

7.驗證測試

使用curl命令發送請求驗證API Key認證功能，請求需滿足以下條件：

• 包含轉寄規則匹配標題k: v：用於匹配關聯了服務擴充的轉寄規則。

• 符合OpenAI相容協議：請求路徑為/v1/completions、/v1/chat/completions或/v1/embeddings且整體格式符合規範。

以下測試命令中的網域名稱ai.example.com為樣本網域名稱，實際測試時請替換為步驟六中配置的真實網域名稱，需確保網域名稱解析已生效。

curl -v \
    -H "k: v" \
    -H "Authorization: Bearer <token>" \
    -H "Content-Type: application/json" \
    -d '{
        "model": "qwen-turbo",
        "messages": [
            {
                "role": "user", 
                "content": "你是誰"
            }
        ]
    }' \
    https://ai.example.com/v1/chat/completions

{
    "choices": [
        {
            "message": {
                "role": "assistant",
                "content": "你好！我是千問，是阿里巴巴集團旗下的通義實驗室自主研發的超大規模語言模型..."
            },
            "finish_reason": "stop",
            "index": 0
        }
    ],
    "object": "chat.completion",
    "usage": {
        "prompt_tokens": 14,
        "completion_tokens": 53,
        "total_tokens": 67
    },
    "model": "qwen-turbo"
}

curl -v \
    -H "k: v" \
    -H "Authorization: Bearer wrong-api-key" \
    -H "Content-Type: application/json" \
    -d '{
        "model": "qwen-turbo",
        "messages": [
            {
                "role": "user", 
                "content": "你是誰"
            }
        ]
    }' \
    https://ai.example.com/v1/chat/completions

curl -v \
    -H "k: v" \
    -H "Content-Type: application/json" \
    -d '{
        "model": "qwen-turbo",
        "messages": [
            {
                "role": "user", 
                "content": "你是誰"
            }
        ]
    }' \
    https://ai.example.com/v1/chat/completions

HTTP/2 401 
content-length: 29
content-type: text/plain
date: Wed, 21 Jan 2026 05:58:31 GMT

Client authentication failed

計費說明

• ALB擴充版：目前處於公測階段，使用者可免費體驗。

• 公網訪問費用：公網NAT Gateway收取執行個體費和容量單位CU費。NAT Gateway和擴充版ALB執行個體綁定的EIP有獨立的計費規則，費用由EIP收取。

• 網域名稱和DNS解析費用：除了需要支付網域名稱供應商的網域名稱費用外，在阿里雲配置DNS解析需要支付公網權威解析費用。

• 認證費用：從阿里雲購買認證或將認證上傳至阿里雲，需要支付伺服器憑證費用。

• 百鍊模型費用：調用百鍊大模型API需要支付費用。

ALB擴充版支援的地區

使用建議

• API Key管理：定期輪換API Key，避免長期使用同一憑證。使用系統產生方式時，妥善保管產生的API Key，避免泄露。

• 憑證來源選擇：根據實際需求選擇合適的憑證來源。預設的Authorization:Bearer<token>方式符合OpenAI相容協議，適用於大多數情境。如需自訂，建議使用自訂HTTP標題或自訂查詢字串方式，避免在URL中暴露API Key。

常見問題